Responsabilité : solution open source maison ou plateforme achetée ?

Quelle est la différence en une phrase ?

Si vous construisez vous-même, vous êtes votre propre fabricant ; avec une plateforme achetée, vous en avez un. Presque tout le reste en découle : qui répond des défauts, qui corrige les failles de sécurité et qui est responsable à l’égard des personnes lésées.

Question	Solution maison à partir d’open source	Plateforme achetée
Garantie sur le logiciel	le plus souvent exclue (licence)	selon le contrat et la loi
Qui corrige les défauts et les failles ?	votre DSI ou un prestataire mandaté	le fournisseur, selon le contrat
Responsabilité du fait des produits (à partir du 9.12.2026)	le cas échéant vous-même, en tant que fabricant	le fournisseur, en tant que fabricant
Obligations de fournisseur au titre de l’AI Act	le cas échéant vous-même	le fournisseur de la plateforme
Preuves (ISO 27001, accord de traitement des données, SBOM)	vous les établissez vous-même	fournies par le fournisseur, s’il en dispose
Dépendance vis-à-vis du fournisseur	aucune	oui, vérifier la clause en cas d’insolvabilité

Qui est responsable d’un logiciel open source ?

Les titulaires des droits, à peine. Les licences répandues comme Apache 2.0 ou MIT fournissent le logiciel « en l’état » et excluent garantie et responsabilité dans la mesure permise par la loi. En Allemagne, la mise à disposition gratuite est souvent traitée comme une donation : le donateur ne répond alors que de la faute intentionnelle et de la faute lourde (§ 521 BGB, Code civil allemand) et des vices uniquement s’il les a dissimulés frauduleusement (§ 524 BGB).

Celui qui bâtit un environnement d’IA à partir de telles briques assume donc lui-même le risque : pour les défauts, pour les failles de sécurité et pour la question de savoir si les éléments font ensemble ce qu’ils doivent faire. Si vous mandatez un prestataire, il est responsable selon le contrat que vous concluez avec lui, le plus souvent un contrat d’entreprise ou de prestation de services.

Que change la nouvelle directive sur la responsabilité du fait des produits ?

La directive (UE) 2024/2853 remplace la directive de 1985 sur la responsabilité du fait des produits. Les points essentiels pour l’IA :

• Le logiciel est un produit (art. 4, point 1), qu’il soit installé ou fourni en tant que service. Les systèmes d’IA sont donc également concernés.
• Exception open source : Les logiciels libres et open source développés ou fournis en dehors d’une activité commerciale ne sont pas concernés (art. 2, par. 2). Si une entreprise les incorpore dans un produit dans le cadre de son activité commerciale, elle est responsable en tant que fabricant.
• Usage propre : Est également fabricant celui qui développe un produit pour son propre usage (art. 4, point 10, c). Est visée la première utilisation dans le cadre d’une activité commerciale (art. 4, point 9). Si et quand cela s’applique à un hôpital ou à une administration qui assemble lui-même un environnement d’IA, les tribunaux ne l’ont pas encore tranché.
• Modification substantielle : Celui qui modifie substantiellement un produit en dehors du contrôle du fabricant et le met à disposition est lui-même considéré comme fabricant (art. 8, par. 2).
• Mises à jour : Le fabricant répond aussi des défauts causés par des mises à jour ou par l’absence de mises à jour de sécurité, tant qu’il en garde le contrôle (art. 11, par. 2).
• Allègement de la charge de la preuve : Les tribunaux peuvent présumer le défaut et le lien de causalité, par exemple si le fabricant ne divulgue pas les éléments de preuve ou si la preuve est excessivement difficile (art. 10).
• Qui est indemnisé : uniquement les personnes physiques, par exemple patients, citoyens ou collaborateurs (art. 5). Les biens et données utilisés exclusivement à des fins professionnelles sont exclus (art. 6).
• Aucune exclusion contractuelle à l’égard des personnes lésées (art. 15).

La directive s’applique aux produits mis sur le marché ou mis en service après le 9 décembre 2026. L’Allemagne la transpose par une nouvelle version de sa loi sur la responsabilité du fait des produits (Produkthaftungsgesetz) ; le Bundestag l’a adoptée le 8 octobre 2026. Il n’existe pas de directive européenne spécifique sur la responsabilité en matière d’IA : la Commission a retiré la proposition en 2025.

Qui est fournisseur au sens de l’AI Act ?

L’AI Act distingue fournisseurs et déployeurs. Est fournisseur celui qui développe un système d’IA ou le fait développer et le met sur le marché ou en service sous son propre nom, à titre onéreux ou gratuit (art. 3, point 3). Celui qui construit lui-même un environnement d’IA et l’utilise dans son propre établissement peut donc être à la fois fournisseur et déployeur. Pour des tâches générales comme rédiger des textes ou rechercher dans des documents, les obligations du fournisseur restent limitées ; pour les applications à haut risque, elles sont étendues. Pour en savoir plus, consultez le guide Propres apps d’IA : quand êtes-vous fournisseur au sens de l’AI Act ?

Il en va de même pour le Cyber Resilience Act : il s’applique aux produits mis à disposition sur le marché. Pour les organisations qui gèrent des projets open source (« steward open source »), il prévoit des obligations propres et plus légères (art. 24).

Que vérifier lors de l’achat ?

• Garantie : Qu’est-ce qui constitue un défaut, et en combien de temps est-il corrigé ? Pour un logiciel loué, le droit allemand du bail s’applique ; le loyer est réduit en cas de défaut (§ 536 BGB), sauf disposition contraire du contrat.
• Responsabilité : Existe-t-il des plafonds ? Pour quels dommages ?
• Mises à jour et failles de sécurité : Pendant combien de temps le fournisseur livre-t-il des mises à jour, et comment lui signaler des failles ?
• Preuves : certificats, accord de traitement des données, liste des composants logiciels (SBOM), tests d’intrusion.
• Sortie et insolvabilité : Pouvez-vous récupérer vos données ? Que devient le logiciel si le fournisseur n’existe plus ?

Comment cela fonctionne-t-il avec basebox ?

basebox est une plateforme prête à l’emploi, avec licence, support et mises à jour. Elle repose sur des briques open source, par exemple vLLM pour le modèle d’IA et Keycloak pour l’authentification ; la liste complète figure dans la nomenclature logicielle (SBOM), que les clients voient dans leur basebox et que vous pouvez obtenir sur demande avant l’achat. basebox elle-même n’est pas open source. Si basebox fait faillite, le code est publié en open source afin que vous puissiez continuer à exploiter basebox ; sur le serveur, basebox fonctionne de toute façon sur votre matériel. Les preuves comme ISO 27001, l’accord de traitement des données et l’état d’avancement concernant le Cyber Resilience Act se trouvent sous Sécurité. Vous pouvez continuer à utiliser le matériel existant.

Pas un conseil juridique : Cet article donne une vue d’ensemble, état au 11 octobre 2026. La nouvelle loi allemande sur la responsabilité du fait des produits n’était pas encore promulguée, et les tribunaux n’ont pas encore interprété les nouvelles notions. La responsabilité applicable dans un cas particulier dépend de vos contrats. Faites-les examiner par un juriste.